Nochmal zu Wahlcomputern

Wenn du Pseudonym und Stimme verbindest, hast du über das Pseudonym aber auch die Wahlentscheidung einer konkreten Person zugeordnet, und damit ist die Wahl nicht mehr geheim.

Wie willst du sicherstellen, dass niemand außer der Person selbst diese Verbindung ziehen kann? Was ist wenn ich z.B. Leuten Geld verspreche, wenn sie die X-Partei wählen und mir ihre offizielle Pseudonymmitteilung (irgendwie muss die Information ja überbracht werden) aushändigen? Das ist ja jetzt bei der Briefwahl schon ein Problem, weshalb das BVerfG sie nur als begrenzten Ausnahmefall zulässt. (Und wo es mich nicht wundern würde, wenn da in den nächsten Jahren eine neue Entscheidung ins Haus stünde, denn eine Ausnahme ist sie ja mit einer gewissen Regelmäßigkeit inzwischen nicht mehr.)

2 „Gefällt mir“

Und woher weiß ich, dass diese Veröffentlichung wirklich diejenige ist, die gezählt wurde?

Selber Nachzählen und mit dem Ergebnis vergleichen?

Deine große Gesamtliste könnte ja auch falsch sein und zusätzliche Stimmen enthalten, die gar nicht abgegeben wurden.
Jeder findet dann zwar seine abgegebene Stimme wieder, aber das Ergebnis ist trotzdem falsch.

So wie das heute auch gemacht wird: mit Strichliste.
Jeder kann seine Stimme überprüfen → meine Stimme wurde richtig gezählt.
Jeder kann das gesamt Ergebnis überprüfen → Ich kann sehen, wie sich das Ergebnis aus allen Stimmen zusammensetzt.
Jeder kann im Wahllokal nachzählen, wie viele Stimmen abgegeben wurden → Die Anzahl der Stimmen ist konstant.

Wieviel Personen müssen dafür ihre Stimme überprüfen, um einen Wahlfehler/betrug zu erkennen? Tatsächlich sehr wenige, da die Anzahl der Überprüfungen hier als Exponent eingeht (Binomial-Verteilung)
Wie stell ich Kollisionen sicher? Indem jeder zusätzlich zu seinem Pseudonym noch eine Ziffer anhängt. Dadurch wird das Pseudonym nicht auf die Person zurückführbar, aber Kollisionen können erkannt werden. Nicht jede Kollision, aber wichtig ist auch nur dass mind. eine Kollision erkannt wird. Gibt es zwei Pseudonyme, die bis auf die letzte Ziffer identisch sind im selben Wahllokal, dann ist es 100% ein Wahlfehler.
Wie stelle ich sicher, dass mein Pseudonym nicht einfach in meinem Bekanntenkreis auf mich zurückführbar ist? In dem ich bereits abgegebene Stimmen mit der Prüfziffer für eine Partei X angezeigt bekomme. (Funktioniert nicht für die 1. Wähler am Wahltag des Wahllokals)

Nun nochmal zur Anonymität: Früher war Papierwahl tatsächlich fast gar nicht zu entanonymisieren. Die Technik war damals noch nicht soweit. Heute kann jede Person ein Foto von seinem Wahlzettel machen, weil jeder ein Smartphone mit Kamera hat. Mini-Kameras in den Wahllokalen wären nicht zu erkennen, kosten mittlerweile aber auch nichts mehr. Es gibt sogar Personen, die öffentlich ihre Stimme zur Schau stellen, weil sie den Wahlzettel falsch falten. Mittlerweile ist es sogar maschinell möglich, Dokumente auf Fingerabdrücke zu untersuchen und diese dann den Wähler zuzuordnen, wenn man die Fingerabdrücke aller Wähler hat. Und von der Briefwahl wollen wir gar nicht erst reden.

Wer sich ein bisschen mit Zaubertricks auskennt, weiß auch wie einfach es ist Zettel auszutauschen. Gimmicks in den Urnen wären nur durch komplettes zerlegen der Urne möglich.
Nur im kleinen Stil durchführbar? Schon kleine Unterschiede können große Auswirkungen haben. Ein Direktmandat hat bei der aktuellen Bundestagswahl darüber entschieden, ob die Linken in den Bundestag einziehen oder nicht. Ein nicht unerheblicher Unterschied. Auch das RRG nicht möglich ist, hat starken Einfluss auf die Verhandlungen. Im allgemeinen würde ich sagen, wer so stark bescheißt, dass es auffällt hat sowieso einen Fehler gemacht.

Aber viel wichtiger als all das ist: Wollen wir überhaupt, dass Wahlfehler erkannt werden können. Ja es räumt alle zweifel am Ergebnis aus, aber gleichzeitig erschüttert wohl jeder kleinste Fehler das Vertrauen in die Wahl.

Ich möchte hier auch nochmal anmerken, dass wir zumindest in einigen Bundesländern bei Land-/und Kommunalwahl sehr wohl Computer verwenden (Zum zusammenzählen, dass Auszählen muss per Hand gemacht werden). Die Algorithmen sind nicht verifizierend, nicht quelloffen und mit Sicherheit auch nicht sicher. Ja wir könnten die Wahlzettel nochmal auszählen und selber zusammenrechnen, aber das tun wir nicht, solange das Ergebnis nicht zu fragwürdig aussieht. Schau dir dazu mal den Beitrag vom c3 an:

In meinem obigen Szenario könnten ALLE ihre Stimmen überprüfen und es würde nicht auffallen.

Und wie machst Du das digital? Wie kann Oma Klothilde überprüfen, dass nicht noch ein paar tausend Phantasiestimmen abgegeben wurden?

Ich musste das mit der Ziffer drei Mal lesen bis ich das kapiert habe. Wie vermittelst Du das Oma Klothilde?

Merkst Du, wie das immer komplizierter wird…? Wie man immer noch irgendwas da drumrum bauen oder dranflanschen muss, damit es am Ende doch irgendwie mit der Brechstange funktioniert?

Der Unterschied ist hier: Eine Papierwahl im großen Stil zu fälschen, ist EXTREM aufwändig. Da brauchst Du tausende von Eingeweihten.

Bei einer digitalen Wahl brauchst Du nur genug Kohle und eine handvoll guter ITler.

Können… Müssen aber nicht! Schau Dir Berlin an.
Und nur weil KLEINE Unterschiede schon ausreichen, ist das kein Argument, eine Technologie einzuführen die auch GROSSE Manipulationen ermöglicht. Es spricht um so mehr GEGEN eine digitale Wahl.

Können wir bei Papierwahlen auch, weil der ganze Kram afaik irgendwo aufbewahrt wird, so dass man jederzeit nachzählen kann (ganz ohne Computer).

Ja, und das ist großer Mist, wie der CCC auch nicht müde wird zu betonen.

5 „Gefällt mir“

In meinem obigen Szenario könnten ALLE ihre Stimmen überprüfen und es würde nicht auffallen.

Von welchem Szenario sprichst du? In dem von mir vorgestellten Verfahren würde es sofort auffallen, insbesondere wenn alle ihre Stimmen überprüfen.

Und wie machst Du das digital? Wie kann Oma Klothilde überprüfen, dass nicht noch ein paar tausend Phantasiestimmen abgegeben wurden?

Genau so wie du es auch schon heute machst. Du stehst im Wahllokal und zählst die Anzahl der Stimmen. Am Ende zählst du alle „gezählten“ Stimmen und vergleichst beide Werte. Natürlich nur von Oma Klothilde zählen kann.

Ich musste das mit der Ziffer drei Mal lesen bis ich das kapiert habe. Wie vermittelst Du das Oma Klothilde? Merkst Du, wie das immer komplizierter wird…? Wie bei man immer noch irgendwas da drumrum bauen muss, damit es am Ende doch irgendwie mit der Brechstange funktioniert?

Das ist überhaupt nicht kompliziert. Eigentlich auch nicht notwendig, solange der Wahlcomputer nicht bereits vor deiner Wahl weiß, wie du wählen wirst. Aber sicher ist sicher.

Bei einer digitalen Wahl brauchst Du nur genug Kohle und eine handvoll guter ITler.

Vollkommener Quark

Können wir bei Papierwahlen auch, weil der ganze Kram irgendwo aufbewahrt wird, soweit ich weiß…

Können, tun wir aber nicht. Wenn Fehler auftreten, dann werden sie teilweise sogar ignoriert.

Du übersiehst an dieser Stelle, das das mitzählen per Strichliste ein zusätzlicher Sicherheitsfaktor ist. Diese Strichliste muss nachher mit zwei anderen Ergebnissen übereinstimmen (Stimmzettel und Wahlverzeichnis).

Moment, diesen Punkt verstehe ich nicht. Wie kann ich auf der einen Seite meine Stimme nachvollziehen und auf der anderen Seite können dies andere nicht? Entweder kann ich mein Pseudonym 1:1 einer Stimme zuordnen und damit auch jedes andere Pseudonym, oder dieser Zusammenhang ist aufgelöst.

Auch verstehe ich nicht wie die Pseudonym Zuteilung funktionieren soll. Am Ende muss das Pseudonym ja kollisionsfrei sein. Wenn der Mensch es sich nicht merken kann ist es nutzlos.

Und hier an dieser Stelle ist der größte Gedankenfehler in meinen Augen: Um dieses Angriffsszenario umzusetzen muss ich zu Aufdeckung EINES Wahllokals ein hohes Risiko und einen hohen Aufwand betreiben um etwas auszuspähen. Diese Distribution des Risikos ist ein Feature.
Bei Technik ist das sehr viel einfacher.

Gute Video. Kann ich empfehlen. Das Programm sollte so nicht genutzt werden. Allerdings ist das nicht mit einem Wahlcomputer zu vergleichen, da hier die Rohdaten unverändert und jederzeit reproduzierbar wiedererhoben werden können. Ich habe hier kein Gerät, dem ich als Wähler vertrauen muss und kein Verfahren, welches ich noch verstehen muss.

Abschließend möchte ich daraufhinweisen, das man einen enormen Aufwand betreiben muss um nur ansatzweise auf das aktuelle Niveau von Robustheit, Überprüfbarkeit und Sicherheit zu kommen. Am Ende habe ich ein System, welches kein Stück besser ist, aber massiv komplexer.

Der Wahlcomputer ist ein Gerät dem ich vertrauen muss. Sonst geht es nicht. Wir sitzen nicht mit 3-6 Leuten im Lokal, weil wir sonst keinen Skat kloppen können. Wir sitzen da, weil wir uns nicht vertrauen müssen. Das ist ein Kotrollfeature.

Der Kommentar mit dem Quark zeigt ein Unverstädnis von IT-Sicherheit, die genau der Grund sind, warum wir keine Wahlcomputer nutzen sollten. Das Ausblenden von potentiellen Problemen und dem fixieren auf ein singuläre Teilproblem ist eines der Hauptgründe von mangelnder IT-Sicherheit.

Vollkommener Quark

1 „Gefällt mir“

Du übersiehst an dieser Stelle, das das mitzählen per Strichliste ein zusätzlicher Sicherheitsfaktor ist. Diese Strichliste muss nachher mit zwei anderen Ergebnissen übereinstimmen (Stimmzettel und Wahlverzeichnis).

Und du übersiehst, dass das genauso auch bei Wahlcomputer geht. Die Anzahl der Abgegeben Stimmen sind nur jetzt in elektr. Form vorliegend.

Moment, diesen Punkt verstehe ich nicht. Wie kann ich auf der einen Seite meine Stimme nachvollziehen und auf der anderen Seite können dies andere nicht? Entweder kann ich mein Pseudonym 1:1 einer Stimme zuordnen und damit auch jedes andere Pseudonym, oder dieser Zusammenhang ist aufgelöst.
Auch verstehe ich nicht wie die Pseudonym Zuteilung funktionieren soll. Am Ende muss das Pseudonym ja kollisionsfrei sein. Wenn der Mensch es sich nicht merken kann ist es nutzlos.

Dein Pseudonym kannst nur du nachvollziehen, weil nur du dein Pseudonym siehst. Nur du weißt unter welchem Pseudonym du deine Stimme abgegeben hast. Stimmen werden soweit ich weiß nach Wahllokal ausgezählt. Dann müssen die Stimmen auch bloß im Wahllokal eindeutig sein. Außerdem kann man ja auch sich das Pseudonym aufschreieben, oder ein beliebig anderes. Andere Personen sehen nur DAS jemand mit einem Pseudonym X abgestimmt hat, aber nicht wer (Weil sie das Pseudonym ja nicht sehen). Du kannst natürlich ein Foto von der Wahlmaschine machen… aber das kannst du auch heute schon.

Gute Video. Kann ich empfehlen. Das Programm sollte so nicht genutzt werden. Allerdings ist das nicht mit einem Wahlcomputer zu vergleichen, da hier die Rohdaten unverändert und jederzeit reproduzierbar wiedererhoben werden können. Ich habe hier kein Gerät, dem ich als Wähler vertrauen muss und kein Verfahren, welches ich noch verstehen muss.

Das Problem ist nur, dass wir das ja nur dann tun, wenn es erhebliche Zweifel an dem Ergebnis gibt. Ein Intelligenter Hacker würde natürlich nicht so, die Wahl manipulieren… nun ja es seinen man hat ein Ego wie Lukaschenko.

Der Kommentar mit dem Quark zeigt ein Unverstädnis von IT-Sicherheit, die genau der Grund sind, warum wir keine Wahlcomputer nutzen sollten. Das Ausblenden von potentiellen Problemen und dem fixieren auf ein singuläre Teilproblem ist eines der Hauptgründe von mangelnder IT-Sicherheit.

Nein, es zeigt nur das du keine Ahnung von verifizerbaren Algorithmen hast. Es gibt Allgorithmen denen musst du nicht blind Vertrauen, weil du das Ergebnis verifizieren kannst. Z.B. Möchtest du wissen wie viel Primfraktoren die Zahl 9.261.000 hat, dann kann der Algorithmus die ausspucken: 11. Das kannst du glauben, oder nicht. In der Regal kannst du das nicht nachprüfen, den die Antwort kennst du ja nicht - deswegen fragst du den Algorithmus. Der Algorithmus könnte dir aber auch ausspucken: 11 - {2 × 3 × 5 × 7 × 5 × 7 × 3 × 2 × 7 × 5 × 3 × 2}. Dann kannst du einmal die Zahlen multiplizieren, was einfach ist: du erhälst 9.261.000 und zählen, was auch einfach ist und erhältst… 12. In dem Fall war der Algorithmus also Fehlerhaft, oder gehackt. Das klappt auch bei Wahlcomputern. Das wurde in diesem Thread auch beraits mehrfach erläutert. Du kannst immmer noch den Wahlcomputer hacken, aber das bekommt man dann mit. Du weißt nicht was falsch gelaufen ist, aber du weißt, dass was falsch gelaufen ist.

Können, tun wir aber nicht. Wenn Fehler auftreten, dann werden sie teilweise sogar ignoriert.

Vollkomener Quark

Das ist falsch. Du solltest dich nochmal mit unserem Wahlsystem beschäftigen. Nicht jede Unregelmäßigkeit führt gleich zu einer Neuwahl. Wahlfehler müssen gravierend sein, ansonsten müssen die Bürger halt Klagen.

Bei einem Wahllokal gibt es ca. 1.000 Wähler. Auch wenn die Zahl klein ist, wird es da zu Kollisionen kommen. Da kann zu einer ganzen Reihe von Problemen fürhen. Wie soll sich das System verhalten bei einer Kollsion? Soll es mir anzeigen das das Pseudonym schon vergeben ist? Oder soll es ein Randompseudonym sein? Das müßte notiert werden. Die Argumente die dagegen sprechen sind jetzt in mindestens 3 Beiträgen aufgeführt worden.

Der Unterschied ist, das ich die Rohdaten in einer unverfälschten Form habe. Weil sie nicht nur digital vorliegen. Somit ist jegliche Manipulation aufdeckbar. Wie? Einfach. Ich schaue nach der Wahl in die Ergbbnisse meines Wahllokals. Dort sehe ich, das die Ergebnisse mit meinem Protokoll übereinstimmen. Das wird übrigends auch immer gemacht. Dafür gibt es den ganzen Papertrail. Nach der Auszählung dokumentiert der Wahlvorstand dies in einem Protokoll. Werden die Daten im System manipuliert kann es in der Revision aufgedeckt werden. Das ist auch kein rein theoretische Konstrukt. Es ist wirklich interessant, wenn man sich mit dem Wahlsystem beschäftigt.

Dein Hinweis mit dem verifizierbbaren Algorithmus habe ich gelesen. Ich finde Algorithmen die Zahlen in ihre Primfaktoren zerlegen großartig. Finde, jeder sollte welche haben. Die vollständige Beweisbarkeit von Programmen ist eine wundervolle Welt, die auch wirklich gut eingängig und verständlich ist. Leichte Kost geradezu. Das einem Laien zu erklären macht immer wieder Spass. Führt meistens dazu, da die Person innerhalb von Minuten abschaltet.
Und wenn der Algorithmus vollständig bewiesen wurde, dann ist es zum Glück komplett obsolet, ob die Implementierung des Algorithmuses korrekt ist. Es kommen zum Glück auch nie irgendwelche Fehler auf Compiler oder OS-Ebene vor, die man auch darin berücksichtien muss. Man kann Geräten halt immer vertrauen.
Auch das Protokoll wie eine solche Wahl abgehandelt wird ist zum Glück auch komplett unproblematisch, wenn der Algorithmus bewiesen wurde. Du willst die Pseudonyme veröffentlichen? Wann? Nach einer Stunde? Blöd für die ersten 5 Leute die zwischen 8 und 9 da sind. Abends nach 18 Uhr? Komisch, da werden diverse Leute behaupten, das ihr Pseudonym nicht da ist.
Wie stellst du eigentlich sicher, das nicht mehr Pseudonyme im System sind als abgestimmt haben?
Man könnte natürlich die Menschen alle ins Wahllokal kommen lassen und dort werden sie in eine Liste eingetragen…
Mit einem Algorithmus ist es nicht getan.